目录
题目列表
IPA部分
1. 分析毛雪柳的手机检材，记账 APP 存储记账信息的数据库文件名称是： [ 答案格式：tmp.db ，区分大小写 ][ ★★★★☆ ]
2. 分析毛雪柳的手机检材，记账APP中，2月份总收入金额是多少：[答案格式：1234][★★★★★]
3. 分析毛雪柳的手机检材，手机中团队内部使用的即时通讯软件中，团队老板的邮箱账号是：[答案格式：abc@abc.com][★★★☆☆]
4. 接上题，该内部即时通讯软件中，毛雪柳和老板的私聊频道中，老板加入私聊频道的时间是：[答案格式：2024-01-01-04-05-06][★★★☆☆]
5. 接上题，该私聊频道中，老板最后一次发送聊天内容的时间是：[答案格式：2024-01-01-04-05-06][★★★☆☆]
人工智能部分
1. 分析义言的计算机检材，一共训练了多少个声音模型：[答案格式：123][★★☆☆☆]
2. 分析义言的计算机检材，声音模型voice2，一共训练了多少条声音素材：[答案格式：123][★★☆☆☆]
3. 分析义言的计算机检材，声音模型voice3，一共训练了多少轮：[答案格式：123][★★★☆☆]
4. 分析义言的计算机检材，声音克隆工具推理生成语音界面的监听端口是：[答案格式：1234][★★★★☆]
5. 分析义言的计算机检材，电脑中视频文件有几个被换过脸：[答案格式:10][★★★★★]
找到对应版本后转字节，再放入文件头中
反编译结果
把混淆的代码简单处理一下，xor加密
然后解密之后就有对应的解密版本了仿真进去 把里面的解密一下
6. 分析义言的计算机检材，换脸AI程序默认换脸视频文件名是：[答案格式：test.mp4][★★☆☆☆]
7. 分析义言的计算机检材，换脸AI程序默认换脸图片的文件名称：[答案格式：abc.abc][★★☆☆☆]
8. 分析义言的计算机检材，换脸AI程序模型文件数量是多少个：[答案格式：10][★★☆☆☆]
总结
题目列表
IPA部分
1. 分析毛雪柳的手机检材，记账 APP 存储记账信息的数据库文件名称是： [ 答案格式：tmp.db ，区分大小写 ][ ★★★★☆ ]
通过icost软件可以定位raealm数据库
default.realm
2. 分析毛雪柳的手机检材，记账APP中，2月份总收入金额是多少：[答案格式：1234][★★★★★]
下载realm studio打开数据库
https://github.com/realm/realm-studio?tab=readme-ov-file
使用Realm Studio查看，过滤器：type=1 and timestamp >= 1706716800000 and timestamp <= 1709222400000（含义：类型为收入+2～3月）
11957
3. 分析毛雪柳的手机检材，手机中团队内部使用的即时通讯软件中，团队老板的邮箱账号是：[答案格式：abc@abc.com][★★★☆☆]
服务器顺下来就知道，也不用看数据库
gxyt@163.com
4. 接上题，该内部即时通讯软件中，毛雪柳和老板的私聊频道中，老板加入私聊频道的时间是：[答案格式：2024-01-01-04-05-06][★★★☆☆]
知道通讯软件是mattermost，之前有导出过数据库
ctool转换
Ctool
2024-04-24-11-59-28
5. 接上题，该私聊频道中，老板最后一次发送聊天内容的时间是：[答案格式：2024-01-01-04-05-06][★★★☆☆]
2024-04-25-10-24-50
人工智能部分
1. 分析义言的计算机检材，一共训练了多少个声音模型：[答案格式：123][★★☆☆☆]
火眼分析yiyan计算机发现有4个GPT声音模型
每一个模型都有一个train.log
进入虚拟机也可以看到对应文件
4
2. 分析义言的计算机检材，声音模型voice2，一共训练了多少条声音素材：[答案格式：123][★★☆☆☆]
文件路径：PC.001/分区11/GPT-SoVITS-beta0217/logs/voice2/3-bert
17
3. 分析义言的计算机检材，声音模型voice3，一共训练了多少轮：[答案格式：123][★★★☆☆]
查看train.log
8
4. 分析义言的计算机检材，声音克隆工具推理生成语音界面的监听端口是：[答案格式：1234][★★★★☆]
查找GPT-SoVITS-beta0217的配置文件
9874
5. 分析义言的计算机检材，电脑中视频文件有几个被换过脸：[答案格式:10][★★★★★]
非常有意思，这题又遇到逆向了（上次是bitlocker）
1.在输出文件里只能看到一个视频被换过脸
2.另外的视频通过wncrypt.exe加密过，要对该软件进行反编译和反混淆，了解具体加密算法后，自行编写脚本对加密文件解密
导出文件，用pyinstxtractor进行反编译，获得encrypt.exe_extracted文件夹
对应加密方式在z.pyc文件里，要转化为py文件。但是文件改名为z.pyc后有点问题，不能直接转换，要用WinHex修改文件头后，再放入在线网站（https://www.lddgo.net/string/pyc-compile-decompile） 或者工具（uncompyle6/pycdc）反编译
可以看到文件头有缺失，进行python版本补全
找到对应版本后转字节，再放入文件头中
转文件头代码
反编译结果
反编译后的代码
把混淆的代码简单处理一下，xor加密
反混淆代码
然后解密之后就有对应的解密版本了仿真进去 把里面的解密一下
对应解密代码
参考文章
py逆向-NSSCTF-[NISACTF 2022]ezpython-CSDN博客
Python Uncompyle6 反编译工具使用 与 Magic Number 详解-CSDN博客
Python 反编译：pyinstxtractor工具和uncompyle6库的使用-CSDN博客
pyinstxtractor下载
PyInstaller Extractor download | SourceForge.net
最后发现一共 1 + 41 个换脸后的视频.
42
6. 分析义言的计算机检材，换脸AI程序默认换脸视频文件名是：[答案格式：test.mp4][★★☆☆☆]
target-1080p.mp4
7. 分析义言的计算机检材，换脸AI程序默认换脸图片的文件名称：[答案格式：abc.abc][★★☆☆☆]
根据视频路径去虚拟机里找
fc3d6cb14c0d4e52adcf8717f2740b5c.jpeg
8. 分析义言的计算机检材，换脸AI程序模型文件数量是多少个：[答案格式：10][★★☆☆☆]
同样在上述路径下
15
总结
人工智能部分
分为声音模型和AI换脸，在火眼中如果找到对应路径，在虚拟机中可以较容易找到答案，主要考察信息检索能力。难点在于第五题的逆向分析，要考虑如何还原换脸视频。这题感觉和ctf比赛的逆向题目流程一模一样——反编译，反混淆，修改文件头进行修复……
IPA部分
IPA这些题目和手机取证差不多，都是在数据库里找信息。第三题可以通过其他题目找到的信息回答。主要学习了realm数据库的查找，以及realm studio的安装和使用。
又是收获满满的一天！